Le sous-onglet VirusTotal de vos paramètres PhishER vous permet de configurer l’intégration de VirusTotal à votre console PhishER. VirusTotal est un service qui analyse les fichiers en s’appuyant sur plus de 70 scanners d’antivirus pour détecter tout contenu malveillant. Pour intégrer votre compte VirusTotal à PhishER, vous devez disposer d’une clé API active pour VirusTotal. Si vous n’avez pas de compte VirusTotal, vous pouvez en créer un gratuitement sur le site Web site Web de VirusTotal (le lien s'ouvre dans une nouvelle fenêtre) de VirusTotal.
Configuration de l’intégration
Pour configurer l’intégration, remplissez les champs du sous-onglet VirusTotal de vos paramètres PhishER. Pour en savoir plus, consultez la capture d’écran et la liste ci-dessous :
- Désactivée/Activée (Disabled or Enabled) : ce commutateur permet d’activer ou de désactiver l’intégration.
- Saisissez votre clé VirusTotal (Enter your VirusTotal key) : saisissez votre clé VirusTotal dans ce champ. Pour obtenir plus d’informations, consultez l’article de VirusTotal Obtention d’une clé API Obtention d’une clé API (le lien s'ouvre dans une nouvelle fenêtre).
- (Facultatif) Analyse automatique VirusTotal (VirusTotal Automatic Scanning) : configurez dans cette section les paramètres permettant à VirusTotal d’analyser automatiquement des parties d’un message. Consultez la liste ci-dessous pour en savoir plus sur ces options :
- Analyser automatiquement TOUTES les pièces jointes (hachages uniquement) (Automatically scan ALL [Attachments Hashes Only]) : si vous cochez cette case, VirusTotal recevra un hachage de toutes les pièces jointes de votre boîte de réception PhishER.
- Analyser automatiquement TOUTES les URL(Automatically scan ALL URLs) : si vous cochez cette case, VirusTotal recevra automatiquement toutes les URL de votre boîte de réception PhishER.
- Expiration en cas d’absence de réponse (secondes) (Timeout if no response [seconds]) : entrez un nombre de secondes pour appliquer à vos résultats d’analyse VirusTotal un délai d’expiration personnalisé. Si VirusTotal ne renvoie aucun résultat dans ce délai, un tag VT_Bypassed sera appliqué au message correspondant. Par défaut, le délai d’expiration est de 120 secondes. Pour en savoir plus sur les tags pouvant être appliqués au message, consultez la section Tags VirusTotal de cet article.
- (Facultatif) Seuil de détection (Detection Threshold) : dans cette section, vous pouvez définir le nombre minimum de détections par les scanners antivirus nécessaires pour déterminer si une pièce jointe ou une URL est malveillante.
- Détections minimum par des scanners antivirus pour le tag VT_Bad (Minimum Antivirus Scanner Detections for VT_Bad Tag) : saisissez le nombre minimum de scanners antivirus devant déterminer qu’une pièce jointe ou une URL est malveillante pour que le tag VT_Bad soit appliqué au message correspondant. Par défaut, ce seuil est fixé à un, et vous pouvez le définir jusqu’à un maximum de 50. La mise à jour de ce paramètre n’affectera pas les messages déjà marqués d’un tag, mais les futures analyses marqueront tous les nouveaux messages correspondant au seuil. Si le seuil est défini sur un nombre supérieur à un, et que les résultats de votre analyse VirusTotal ne l’atteignent pas, mais sont supérieurs à zéro, un tag VT_Suspicious sera appliqué au message. Pour en savoir plus sur les tags pouvant être appliqués au message, consultez la section Tags VirusTotal de cet article.
-
Domaines ignorés (Ignored Domains) : indiquez les domaines que VirusTotal doit ignorer pendant une analyse. Passez à la ligne lorsque vous ajoutez un nouveau domaine à la liste. L’ajout d’un domaine à cette liste entraîne également l’exclusion de ses sous-domaines. En revanche, l’ajout d’un sous-domaine n’entraîne pas l’exclusion du domaine. L’utilisation de caractères génériques (*) et d’URI (Uniform Resource Identifier) n’est pas prise en charge.
Important :pour obtenir une liste des domaines KnowBe4 qui ne doivent pas être envoyés à VirusTotal en tant que liens ou pièces jointes, consultez la section Exclusion de domaines KnowBe4 des analyses de cet article. - Enregistrer (Save) : cliquez sur ce bouton pour mettre à jour les paramètres de votre intégration VirusTotal.
Analyse avec VirusTotal
Une fois votre compte VirusTotal intégré à votre console PhishER, vous pouvez lancer une analyse VirusTotal sur les URL et les pièces jointes des messages. Pour cibler une URL ou pièce jointe spécifique, cliquez sur Analyser avec VirusTotal (Scan with VirusTotal) sur la page Détails du message (Message Details).
Vous pouvez également lancer une analyse VirusTotal sur une sélection de messages lorsque vous exécutez à nouveau vos règles et actions. Pour en savoir plus sur ces options, consultez notre Guide relatif à la boîte de réception PhishER.
VirusTotal attribue aux messages analysés un ou plusieurs tags correspondant aux résultats de l’opération. Pour en savoir plus sur les tags pouvant être appliqués aux messages, consultez la section Tags VirusTotal de cet article.
Exclusion de domaines KnowBe4 des analyses
Plusieurs domaines KnowBe4 ne doivent pas être soumis à des analyses VirusTotal en tant que liens ou pièces jointes. Vous pouvez les indiquer dans le champ Domaines ignorés (Ignored Domains) du sous-onglet VirusTotal de vos paramètres PhishER. Pour les connaître, reportez-vous à la liste suivante :
- kb4.io
- comano.us
- magnetonics.com
- bloemlight.com
- instantrevert.net
- phishing.guru
- phishtrain.org
- malwarebouncer.com
- phish.farm
- microransom.us
- msftemail.com
- compromisedblog.com
- com-onlinebanking.com
- com-token-auth.com
- 2O2.lOl
- protected-forms.com
- cert-sha256.com
- wishyoudidntclickthis.com
- cert-sha256.co.uk
- internalportal.net
- twittermessage.net
- my-cloud-mail.com
- linkedlnu.com
- farenheit.net
- gooqleonline.com
- donotreply.biz
- aøl.com
- exchamge.org
- allibaba.org
- voipmessage.uk
- efaxonline.org
- bltly.us
- twittermessage.co.uk
- www-com.co.uk
- srvgov.com
- gooqle.eu
- allibaba.eu
- yourgunnalovetraining.com
- succesful.org
Tags VirusTotal
Dans la section des tags VirusTotal du sous-onglet VirusTotal, vous pouvez consulter les tags que VirusTotal peut associer à vos messages une fois leur analyse terminée. En fonction des résultats, VirusTotal applique un ou plusieurs tags aux messages. Pour en savoir plus sur les tags de VirusTotal, consultez la liste ci-dessous :
- VT_Pending : ce tag est associé à un message quand l’analyse VirusTotal est mise en file d’attente. Il sera supprimé une fois l’analyse achevée.
- VT_Bad : ce tag est associé à un message lorsqu’une analyse VirusTotal identifie une pièce jointe malveillante.
- VT_Suspicious : ce tag est associé à un message lorsqu’une analyse VirusTotal identifie qu’une pièce jointe ou une URL est suspecte, mais non confirmée comme malveillante. Vous pouvez définir le seuil de détection des pièces jointes et URL malveillantes grâce au paramètre Détection minimum par des scanners antivirus (Minimum Antivirus Scanner Detections).
- VT_Scanned : ce tag est associé à un message lorsqu’une analyse VirusTotal est arrivée à son terme et a déterminé que la pièce jointe n’est pas malveillante.
-
VT_Bypassed : ce tag est associé à un message quand une analyse VirusTotal ne répond pas dans les délais impartis. Il s’accompagne généralement d’autres tags VirusTotal. Vous pouvez définir un délai d’expiration personnalisé dans les paramètres Analyse automatique VirusTotal (VirusTotal Automatic Scanning).
Remarque : en cas de dépassement du délai d’attente de VirusTotal, PhishER autorisera l’exécution d’actions automatisées sur le message pendant que la console attend l’arrivée des résultats de VirusTotal. Une fois les actions automatisées effectuées, VirusTotal peut finir d’associer des tags au message. Les actions automatisées ne seront pas effectuées à nouveau après l’obtention des résultats de l’analyse. - VT_Hash_not_found : ce tag est associé à un message lorsqu’une analyse VirusTotal ne renvoie aucune correspondance pour les pièces jointes hachées.
- VT_Ignored : ce tag est associé à un message lorsque des URL ou des domaines présents dans votre liste blanche sont détectés dans un message.